发现一个病毒，在同事的机器上。症状就是一个叫做exp1orer.exe的进程总是杀不死。明显这个exp1orer.exe不是系统进程。找到该文件的启动目录和最近才产生的文件，写了下面的一个批处理。一边杀死进程，一边删除文件。 Lp!0H `L
---------------------------- y~x#pC*w
rem delvi.bat uvR0TIF4
:loop gj[z ka0_
attrib -h -r -s exp1orer.exe U{HyxZ|q<
del exp1orer.exe WI0Q LR'
attrib -h -r -s mshosts.exe tI"w Vr
del mshosts.exe h)7v1,;w'
attrib -h -r -s c:\winnt\intrenat.exe $1b]xQ
del c:\winnt\intrenat.exe 7KeXWW/ d
attrib -h -r -s interapi32.dll
!,Qm
del inetapi32.dll SQKi2\8w
attrib -h -r -s interapi64.dll <|B$dz?r
del inetapi64.dll 5 d> nIKW
attrib -h -r -s mfcd3o.dll 9) jo7,VM
del mfcd3o.dll y9=t; qH@|
goto loop 8?A@/
---------------------------- o@Scz! "g
结果发现interapi64.dll删除不了。从而造成一开启一个应用程序就会产生exp1orer.exe。 U.Pa7tn
ix(U:'{
搜索注册表，发现： cO8`J&EK
l&\t f`~
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}] !NIL pimi
@="hookmir" .mC~Ry+t
CQj/e+eE4
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\InprocServer32] x`Vy<h 33
@="C:\\WINNT\\system32\\interapi64.dll" 4u@yJ?U
"ThreadingModel"="Apartment" (6e!09P&
9qnuR'BDu
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}\ProgID] Tavtr9L0XY
@="interapi64.classname" TlM'g6SQS
&"sX^6t
mir对付传奇这个游戏的病毒？紧接着再次搜索注册表，关键字{081FE200-A103，找到下面的两个 r(PJ~8)(=
*Ro8W-+
[HKEY_CLASSES_ROOT\interapi64.classname] qw9e)
`3$
@="hookmir" 9 )ACgz&(
aIQr b
[HKEY_CLASSES_ROOT\interapi64.classname\Clsid] !&'# a
@="{081FE200-A103-11D7-A46D-C770E4459F2F}" k,a,h^ {}j
------------------------ #"=%b
e3
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion =|^X$H
q2[+-B)m
\Explorer\ShellExecuteHooks] BT&rp%NO6l
"{081FE200-A103-11D7-A46D-C770E4459F2F}"="hookmir" czXI?]gg,
<+ -V5O^
把它们统统删除后，重新启动计算机。 7^n,Ti g
再去删除interapi64.dll，OK! &*X3c h
(PRaiE
总结一下可以启动就加载的地方： s4!|v`+$M
1、我们熟悉的Run/Winlogon之类的地方 nrxjN(9V%+
2、IE的插件 #&;m<%
3、ShellExecuteHooks E6,`Ld;c[
OJnP P>
-OHvK0~
pI'8>_o
